ASP Web API中Authorize特性标签失效问题：未登录时未返回预期的401状态码

看起来你遇到的核心问题是配置了Azure AD认证，但[Authorize]标签没有拦截未登录用户的请求，导致未授权访问User控制器时没有返回预期的401状态码。我来帮你一步步排查和解决：

1. 检查认证中间件是否完整配置 #

你只提到了AddAuthorization的配置，但ASP.NET Web API必须先配置Azure AD认证中间件，授权逻辑才能正常工作。请确保在Startup.cs的ConfigureServices方法中添加以下代码：

using Microsoft.AspNetCore.Authentication.JwtBearer;
using Microsoft.Identity.Web;

// ...

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApi(Configuration.GetSection("AzureAd"));

同时你的appsettings.json里需要有对应的Azure AD配置项：

"AzureAd": {
    "Instance": "https://login.microsoftonline.com/",
    "Domain": "你的租户域名.onmicrosoft.com",
    "TenantId": "你的租户ID",
    "ClientId": "你的应用ClientID"
}

2. 确认中间件的执行顺序 #

在Configure方法中，认证中间件必须在授权中间件之前启用，否则授权逻辑无法获取用户的认证状态。正确的顺序应该是这样：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // 其他中间件（比如异常处理、HTTPS重定向等）
    
    app.UseAuthentication(); // 先启用认证，解析令牌并设置用户身份
    app.UseAuthorization();  // 再启用授权，根据身份判断是否允许访问
    
    // 路由配置
    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllers();
    });
}

如果UseAuthentication在UseAuthorization之后，[Authorize]就无法识别用户是否已认证，自然不会返回401。

3. 验证Login控制器的匿名访问配置 #

确保你的Login控制器（或对应登录接口）正确添加了[AllowAnonymous]特性，避免默认授权策略拦截登录请求：

[AllowAnonymous]
[Route("api/[controller]")]
[ApiController]
public class LoginController : ControllerBase
{
    // 登录相关的接口方法
}

4. 简化默认授权策略配置 #

你当前的默认策略配置是有效的，但其实可以简化——ASP.NET Core的默认授权策略本来就要求用户已认证，所以可以把这段代码：

services.AddAuthorization(options => { 
    options.DefaultPolicy = new AuthorizationPolicyBuilder().RequireAuthenticatedUser().Build(); 
});

替换成更简洁的：

services.AddAuthorization();

5. 测试时的注意事项 #

• 测试时确保请求没有携带有效的Azure AD令牌（比如清除浏览器缓存或用Postman直接发送无授权头的请求），避免因为缓存令牌导致误判。
• 直接发送GET请求到/api/User，观察返回状态是否为401。

按照上面的步骤逐一排查，应该就能解决[Authorize]特性不生效的问题了。

内容的提问来源于stack exchange，提问作者jjnrmason